Shaxsga doir maʼlumotlar toʻgʻrisidagi qonun: IT‑jamoalar uchun qoʻllanma

Sizda ilova, SaaS yoki fintech mahsuloti bor, serverlar esa Frankfurt, Dublin yoki Virjiniyada. Oʻzbekistonlik foydalanuvchilar roʻyxatdan oʻtadi, selfi yuklaydi, telefon raqamini kiritadi. Biror narsani koʻchirish kerakmi? Biror narsani roʻyxatdan oʻtkazish kerakmi? Qoidalar koʻpchilik qoʻllanmalarda aytilganidan qisqaroq, lekin ulardan uchtasi ishga tushirishni toʻxtatib qoʻyishi mumkin. Kengroq bozorga chiqmoqchimisiz? Oʻzbekistonda startaplarni tartibga solish va fintech mahsulotlar boʻyicha xizmatimiz bilan ham tanishing.

Qisqacha

Shaxsga doir maʼlumotlarni Oʻzbekistonda saqlash shartmi? Faqat uch turini: biometrik maʼlumotlar, genetik maʼlumotlar va Oʻzbekistonda faoliyat yuritayotgan telekommunikatsiya operatorlari xizmatlaridan foydalanuvchilarning maʼlumotlari (shaxsga doir maʼlumotlar toʻgʻrisidagi qonunning 27-1-moddasi, 2-qismi). Qolgan hamma narsani xorijda saqlash va qayta ishlash mumkin, agar uch shartdan bittasi bajarilsa (6-qism):

1. davlat yetarli himoyani taʼminlovchi deb tan olingan — Vazirlar Mahkamasi 49 ta davlatni nomlagan (2026-yil 29-iyuldagi 415-son qaror);
2. siz vakolatli organ talablariga javob beradigan standart shartnoma shartlari yoki majburiy korporativ qoidalarni qabul qilib, ularga rioya qilasiz;
3. siz vakolatli organ tasdiqlaydigan roʻyxatdagi shaxsga doir maʼlumotlar sohasidagi xalqaro standartlarga rioya qilasiz.

Rejalashtirishdan oldin ikki narsani bilib oling. 2-yoʻl uchun talablarni 2026-yil 29-iyuldan boshlab uch oy ichida tasdiqlash topshirilgan, 2026-yil 14-oktabr holatiga Lex bazasida tasdiqlangan talablarni topmadik. Lokalizatsiya qilinadigan maʼlumotlar bazalari davlat reyestrida roʻyxatdan oʻtkazilishi kerak (quyida qarang).

Asosiy qonun — 2019-yilgi OʻRQ-547, keyingi oʻzgartirishlar bilan, hamda davlatlar roʻyxati boʻyicha Vazirlar Mahkamasi qarori. Internetdagi eski qoʻllanmalar kengroq lokalizatsiya qoidasini tasvirlaydi. Maʼmuriy javobgarlik kodeksi (46-2-modda) va Jinoyat kodeksi (141-2-modda) hamon shu eski ifodadan foydalanadi: ular fuqarolarning axborot texnologiyalari va Internet orqali ishlov berilayotgan maʼlumotlarini jismonan Oʻzbekiston hududidagi texnik vositalarda va roʻyxatdan oʻtgan bazalarda yigʻish, tizimlashtirish va saqlash talablariga rioya qilmaslik uchun jazo belgilaydi. Bu torroq 27-1-modda bilan qanday uygʻunlashishini matn aytmaydi, shuning uchun faqat torroq qoidaga tayanishdan oldin maslahatlashing.

Mulkdor, operator, uchinchi shaxs

Qonunda uch rol bor (4-modda):

• shaxsga doir maʼlumotlar bazasining mulkdori bazaga egalik qilish, undan foydalanish va uni tasarruf etish huquqiga ega;
• operator — maʼlumotlarga ishlov beruvchi organ yoki shaxs;
• uchinchi shaxs — ishlov berish bilan bogʻliq holatlar yoki munosabatlar orqali ular bilan bogʻlangan boshqa har qanday shaxs.

Mulkdor yoki operator ishlov berishni uchinchi shaxsga topshirishi mumkin, lekin faqat subyektning yozma (shu jumladan elektron hujjat shaklidagi) roziligi bilan, u bilan tuzilgan shartnomani bajarish uchun yoki qonunchilikda nazarda tutilgan hollarda (31-modda, 15–18-qismlar).

Qonun zamonaviy arxitekturada kim kim ekanini aytmaydi. Quyida rejalashtirish uchun bizning oʻqishimiz:

Jismoniy shaxs maʼlumotlarga shaxsiy va maishiy maqsadlarda ishlov bersa, qonun qoʻllanilmaydi (3-modda). Shuningdek, qonundan tashqarida: arxiv hujjatlari, davlat sirlari va mudofaa hamda milliy xavfsizlikka oid maʼlumotlar, operativ-qidiruv, razvedka, huquqni muhofaza qilish va jinoiy daromadlarni legallashtirishga qarshi kurash faoliyatidagi maʼlumotlar hamda maxsus huquqiy rejimli hududlar.

Oʻzbekistonda nima qolishi shart

Biometrik maʼlumotlar — subyektning anatomik va fiziologik xususiyatlarini tavsiflovchi shaxsga doir maʼlumotlar (26-modda); genetik maʼlumotlar — biologik namunadan olingan, meros qilib olingan yoki orttirilgan xususiyatlarga oid maʼlumotlar. Qonun misollar keltirmaydi. Sizning maʼlumotlaringizga nisbatan:

Lokalizatsiya qilinadigan maʼlumotlar Oʻzbekistonda qoladi. Xorijda nusxa saqlash mumkinmi — 27-1-modda matni bunga javob bermaydi: qism Oʻzbekistonda majburiy saqlash haqida gapiradi va boshqa maʼlumotlar uchun shartlarni belgilaydi. Maslahatsiz xorijiy nusxaga ruxsat bor deb hisoblamang.

Biometrik va genetik maʼlumotlarni axborot tizimlaridan tashqarida elektron shaklda faqat ruxsatsiz kirishni istisno qiladigan tashuvchilarda saqlash mumkin (26-modda, 4-qism).

Maʼlumotlarni xorijga uzatish

Ikki modda qoʻllaniladi. 27-1-modda lokalizatsiya qilinmagan maʼlumotlarni qayerda saqlash va qayta ishlash mumkinligini belgilaydi. 15-modda uzatish haqida: uzatish yetarli himoyaga ega davlatga amalga oshiriladi; himoyasi yetarli boʻlmagan davlatga — faqat subyektning roziligi bilan, konstitutsiyaviy tuzumni, jamoat tartibini, fuqarolarning huquq va erkinliklarini, aholi salomatligi va axloqini himoya qilish uchun yoki xalqaro shartnoma boʻyicha (15-modda, 2–6-qismlar). Ikki moddaning oʻzaro nisbati matnda tushuntirilmagan. Yoʻl tanlasangiz, ikkalasi boʻyicha tekshiring.

1-yoʻl: davlatlar roʻyxati. 415-son qaror 49 ta davlat va hududni nomlaydi (ilova): Yevropa Ittifoqining barcha 27 aʼzosi, Islandiya, Lixtenshteyn, Norvegiya, Buyuk Britaniya va uning toj mulklari (Gernsi, Jersi, Men oroli), Farer orollari, Andorra, Shveytsariya, Argentina, Braziliya, Kanada, Gonkong, Isroil, Yaponiya, Janubiy Koreya, Yangi Zelandiya, Rossiya, Singapur, Urugvay va Qoʻshma Shtatlar. Qoʻshma Shtatlar faqat EU–US Data Privacy Framework doirasida faoliyat yuritayotgan kompaniyalar uchun kiritilgan. Masalan, BAA, Turkiya, Qozogʻiston, Hindiston, Xitoy va Avstraliya roʻyxatda yoʻq.

Roʻyxatdagi davlatlarga xalqaro kelishuvlar asosida tashkil etilgan axborot tizimlari orqali maʼlumotlar avtomatik uzatiladi — qoʻshimcha ruxsatnomalarsiz va vakolatli organni xabardor qilmasdan, maʼlumotlar sizib chiqishining oldini olish choralarini koʻrgan holda (4-band).

2-yoʻl: shartnoma shartlari. Roʻyxatda yoʻq davlatlarga, qarorga koʻra, vakolatli organ belgilagan huquqiy, tashkiliy va texnik shartlar bajarilganda uzatishga ruxsat beriladi (4-band). Standart shartnoma shartlari va majburiy korporativ qoidalarga talablar 2026-yil 29-iyuldan keyin uch oy ichida tasdiqlanishi kerak (7-band). Ular eʼlon qilinmaguncha, mos shart qanday koʻrinishda boʻlishini ayta olmaymiz. Privacy Framework doirasiga kirmaydigan amerikalik yetkazib beruvchi va roʻyxatda yoʻq davlatdagi bulut mintaqasi shu yerga tushadi.

3-yoʻl: xalqaro standartlar. Roʻyxatni vakolatli organ tasdiqlaydi. Uni bazada topmadik.

Davlat reyestri

Roʻyxatdan oʻtkazish ariza berish tamoyili boʻyicha, xabardor qilish yoʻli bilan: ariza vakolatli organga beriladi (20-modda, 2-qism). Qonun Oʻzbekistonda majburiy saqlanishi lozim boʻlgan bazalarni roʻyxatdan oʻtkazishni toʻgʻridan-toʻgʻri talab qiladi (1-qism). Alohida, 31-modda 13-qismi mulkdor va operator majburiyatlari qatoriga «oʻz mulkidagi va (yoki) ishlov berilayotgan bazalar»ni roʻyxatdan oʻtkazishni kiritadi. 71-son qaror (5-band) ham maʼlumotlar lokalizatsiya qilinganlari bilan cheklanmagan holda mulkdor va operator shaxsga doir maʼlumotlar bazalarini roʻyxatdan oʻtkazishi shartligini aytadi. Biz buni shunday oʻqiymiz: kamida lokalizatsiya qilinadigan bazalarni roʻyxatdan oʻtkazing, istisnolarga kirmaydigan boshqa bazalar boʻlsa — bizdan soʻrang.

Roʻyxatdan oʻtkazilishi shart emas (20-modda, 4–10-qismlar), jumladan, faqat familiya, ism va sharifdan iborat bazalar, avtomatlashtirish vositalarisiz ishlov berilgan maʼlumotlar, mehnat qonunchiligi boʻyicha ishlov berilgan maʼlumotlar, subyekt oʻzi ommaga ochiq qilgan maʼlumotlar va bir martalik ruxsatnoma maʼlumotlari.

Bu qanday ishlaydi (71-son qaror):

Notoʻgʻri yoki toʻliq boʻlmagan maʼlumot rad etish asosi, ariza beruvchi esa noaniq maʼlumot uchun javobgar (11- va 21-bandlar). 71-son qaror amaldagi 20-moddadan oldin qabul qilingan, shuning uchun murojaatdan oldin topshirish tartibini joriy tahrir boʻyicha tekshiring.

Rozilik va foydalanuvchi soʻrovlari

Mahsulotga quyidagilarni joylang:

• Olinganini tasdiqlash imkonini beradigan har qanday shakldagi rozilik (21-modda, 1-qism). Jurnal yuritiladigan belgilash katagi tasdiq boʻla oladi; yetarli ekanini qonun aytmaydi. Qonun talab qilgan hollarda rozilik isbotini taqdim etishingiz kerak (31-modda, 7-qism).
• Yozma yoki elektron hujjat shaklidagi rozilik maxsus maʼlumotlar uchun (salomatlik, din, siyosiy qarashlar, sudlanganlik, shaxsiy hayot — 25-modda), voyaga yetmaganlar va muomalaga layoqatsizlar uchun esa ota-ona yoki qonuniy vakil orqali (21-modda, 2–4-qismlar).
• Qaytarib olish rozilik berilgan shaklda yoki yozma ravishda (21-modda, 7-qism). Qaytarib olingandan keyin maʼlumotlarni yoʻq qilish kerak (17-modda).
• Yangi maqsad — yangi rozilik (19-modda, 3-qism).
• Subyektni yozma ravishda xabardor qiling: maʼlumotlar bazaga kiritilganda maqsadlar va huquqlar haqida (23-modda, 1-qism), maʼlumotlar uchinchi shaxsga berilganda esa uch kun ichida (2-qism).
• Soʻrov boʻyicha axborot: maʼlumotlarga ishlov berayotganingiz, nima uchun, kimda kirish borligi, qancha saqlanishi, transchegaraviy uzatish boʻlgan-boʻlmagani (22-modda).
• Elektron soʻrovlar: ishlov berishni toʻxtatib turish yoki maʼlumotlarni yoʻq qilish haqidagi arizani elektron shaklda berish imkonini yaratishingiz kerak (31-modda, 10-qism).
• Faqat avtomatlashtirilgan ishlov berishga asoslangan qarorlar inson huquqlariga taʼsir qilsa va huquqiy oqibat keltirib chiqarsa, faqat yozma (yoki elektron hujjat shaklidagi) rozilik bilan, u bilan tuzilgan shartnomani bajarish uchun yoki qonunchilikda nazarda tutilgan hollarda mumkin. Tartibni tushuntirish, eʼtirozni qabul qilish va oʻn kun ichida yozma javob berish kerak (24-modda).
• Masʼul boʻlinma yoki mansabdor shaxs (31-modda, 20-qism).

Sizib chiqish va tartibga soluvchi

Sizib chiqish. Xabar berish boʻyicha bitta muddat topdik: transchegaraviy uzatish jarayonida sizib chiqish aniqlansa, operator vakolatli organga 24 soat ichida xabar berishi va sabablar hamda bartaraf etish boʻyicha batafsil axborotni 72 soat ichida taqdim etishi shart (415-son qaror, 4-band). Shaxsga doir maʼlumotlar toʻgʻrisidagi qonunning oʻzida sizib chiqish haqida umumiy xabar berish qoidasi Lex bazasida yoʻq. Kiberxavfsizlik toʻgʻrisidagi qonun (OʻRQ-764, 16-modda) kiberxavfsizlik subyektlarini hodisalar haqida vakolatli organga xabar berishga alohida majbur qiladi; muddat belgilamaydi. Banklar va toʻlov tashkilotlari uchun tarmoq hujjatlari oʻzlarinikini qoʻshishi mumkin; bu qoʻllanma ularni qamrab olmaydi.

Tartibga soluvchi. Qonun vakolatli organ sifatida Vazirlar Mahkamasi huzuridagi Davlat personallashtirish markazini nomlaydi (8-modda). 415-son qaror hamda 71-son qaror (2025-yil 24-dekabrdagi tahrirda) «vakolatli davlat organi» rolini Ichki ishlar vazirligi huzuridagi Migratsiya va personallashtirish departamentiga yuklaydi. Murojaatlarni foydalanayotgan xizmat sahifasida koʻrsatilgan organga yuboring va topshirishdan oldin tasdiqlab oling.

Javobgarlik. 33-modda faqat aybdorlar «belgilangan tartibda» javob berishini aytadi. Jazolar Maʼmuriy javobgarlik kodeksida (46-2-modda) va Jinoyat kodeksida (141-2-modda) belgilangan; ikkala modda ham hamon eski lokalizatsiya ifodasidan foydalanadi (yuqoriga qarang). Miqdorlarni bu yerda keltirmaymiz.

Tekshiruv roʻyxati

• Yigʻiladigan maʼlumotlar roʻyxatini tuzing va biometrik, genetik hamda telekom foydalanuvchilari maʼlumotlarini belgilang.
• Lokalizatsiya qilinadigan toifalarni Oʻzbekistondagi serverlarda saqlang va bu bazalarni roʻyxatdan oʻtkazing.
• Qolgan maʼlumotlar uchun har bir yetkazib beruvchi boʻyicha yoʻlni belgilang: roʻyxatdagi davlat, shartnoma shartlari (eʼlon qilingach) yoki standartlar.
• Har bir amerikalik yetkazib beruvchining Data Privacy Framework ishtirokini tekshiring.
• Har bir oqimda kim mulkdor va operator ekanini aniqlang va shartnomalarga yozing.
• Jurnal yuritiladigan rozilik ekranlari, qaytarib olish yoʻli va elektron soʻrov shaklini qoʻshing.
• Maʼlumot bazaga kiritilganda va uchinchi shaxsga berilganda yozma xabarnoma yuboring (3 kun).
• Masʼul shaxsni tayinlang; uzatishdagi sizib chiqish uchun 24 soat / 72 soatlik reglament yozing.
• 2026-yil 29-oktabrdan keyin shartnoma shartlariga talablar va standartlar roʻyxatini qayta tekshiring.

Savollar

Hammasini Frankfurtda saqlasak boʻladimi? Agar maʼlumotlar orasida biometrik, genetik yoki telekom foydalanuvchilari maʼlumotlari boʻlsa — yoʻq. Qolganini Germaniyada saqlash mumkin: u roʻyxatda.

Kirish uchun ishlatadigan telefon raqamlari lokalizatsiya qilinadimi? Bizning oʻqishimizcha — yoʻq: toifa telekommunikatsiya operatorlari xizmatlaridan foydalanuvchilarga tegishli. Agar siz shunday operator boʻlsangiz — ha.

Biz amerikalik bulutdan foydalanamiz. Nima qilamiz? Agar provayder Data Privacy Framework boʻyicha sertifikatlangan boʻlsa, Qoʻshma Shtatlar yozuvi amal qiladi. Aks holda boshqa yoʻl kerak, shartnoma shartlari qoidalari esa hali eʼlon qilinmagan.

Rozilik uchun belgilash katagi yetarlimi? Qonun olinganini tasdiqlaydigan har qanday shaklni qabul qiladi. Oddiy maʼlumotlar uchun jurnal yuritiladigan belgilash katagi yetishi mumkin; maxsus maʼlumotlar uchun yozma shakl, shu jumladan elektron hujjat kerak.

Manbalar: 2019-yil 2-iyuldagi OʻRQ-547-son «Shaxsga doir maʼlumotlar toʻgʻrisida»gi Qonun (3, 4, 8, 15, 17, 19–26, 27-1, 31, 33-moddalar); Vazirlar Mahkamasining 2026-yil 29-iyuldagi 415-son qarori; Vazirlar Mahkamasining 2020-yil 8-fevraldagi 71-son qarori. 2026-yil 14-oktabrda tekshirilgan. Normativ hujjatlardan iqtiboslar oʻzbekcha matndan oʻzimiz qilgan tarjima.

Qonunchilik bilan Lex orqali tekshirilgan: 14 oktabr 2026 · Juris Advisory